Aave : un bug d’oracle provoque 27 millions de dollars de liquidations injustes
📋 En bref (TL;DR)
- 27 millions de dollars de liquidations injustes sur Aave le 10 mars 2026 a cause d’un bug dans l’oracle de prix CAPO
- 34 utilisateurs touches : leurs positions en wstETH ont ete liquidees alors qu’elles etaient parfaitement saines
- Le taux de change CAPO affichait ~1,1939, soit 2,85 % en dessous du taux reel du marche (~1,228)
- 499 ETH captures par les bots de liquidation (~1,2 million de dollars) en bonus sur des positions invalides
- Chaos Labs a recupere 141,5 ETH et le tresor de la DAO Aave sera sollicite pour compenser jusqu’a 345 ETH de pertes
- Stani Kulechov confirme : aucune dette irrecuperable, tous les utilisateurs affectes seront integralement rembourses
Le 10 mars 2026, le protocole de pret decentralise Aave a subi l’un des incidents techniques les plus significatifs de son histoire. Une erreur de configuration dans son oracle de prix a provoque la liquidation injustifiee de 27 millions de dollars de positions en wstETH. En quelques heures, 34 utilisateurs ont vu leurs positions fermees de force, alors que leurs niveaux de collateral etaient parfaitement adequats. L’incident met en lumiere les risques structurels de la finance decentralisee, meme sur les protocoles les plus etablis.
Que s’est-il passe sur Aave le 10 mars 2026
L’incident trouve son origine dans un mecanisme appele CAPO (Capped Price Oracle). Ce systeme sert de garde-fou pour les oracles de prix sur Aave. Son role : empecher les manipulations de prix en limitant les variations du taux de change affiche dans une fourchette definie. En temps normal, ce mecanisme protege le protocole contre les attaques par manipulation d’oracle.
Le probleme est survenu avec le wstETH (wrapped staked ETH), un jeton representant de l’ETH mis en staking via Lido. Le ratio d’echange entre wstETH et ETH evolue naturellement a la hausse au fil du temps, car les recompenses de staking s’accumulent. Ce ratio etait passe a environ 1,228 ETH par wstETH sur le marche.
Or, le snapshot de reference utilise par CAPO et l’horodatage associe se sont desynchronises. Le taux plafonne calcule par l’oracle affichait ~1,1939, soit 2,85 % en dessous du taux reel. Consequence directe : le protocole a considere que les positions en wstETH etaient sous-collateralisees, alors qu’elles ne l’etaient pas.
Le mecanisme CAPO et la regle des 3 %
Pour comprendre pourquoi l’erreur n’a pas pu etre corrigee rapidement, il faut s’interesser a la gouvernance on-chain d’Aave. Le protocole dispose d’une procedure hors chaine (off-chain) permettant d’ajuster le snapshot ratio utilise par CAPO. Cette procedure a bien detecte le decalage et a tente de corriger le ratio vers ~1,2282, une valeur proche du taux reel.
Cependant, la gouvernance on-chain d’Aave impose une regle stricte : le ratio ne peut pas varier de plus de 3 % dans une fenetre de trois jours. Cette restriction, concue pour empecher les mises a jour malveillantes, s’est retournee contre le protocole. L’ajustement necessaire etant trop important pour passer en une seule mise a jour, la correction a ete bloquee.
Pendant ce temps, les liquidations ont continue. Le systeme automatise d’Aave a traite les positions wstETH en mode E-Mode (efficiency mode, un mode permettant un levier plus important sur des actifs correles) comme si elles etaient en danger. Les liquidations se sont enchainees sans intervention humaine possible.
34 utilisateurs touches, 27 millions de dollars liquides
L’impact a ete considerable. En quelques heures, 34 utilisateurs ont vu leurs positions en wstETH liquidees de force. Le montant total des liquidations s’eleve a environ 27 millions de dollars. Ces utilisateurs n’avaient commis aucune erreur : leurs ratios de collateralisation etaient conformes aux regles du protocole. C’est le protocole lui-meme qui a mal evalue la valeur de leurs actifs.
Les bots de liquidation, ces programmes automatises qui surveillent en permanence les protocoles DeFi pour executer les liquidations disponibles, ont profite de la situation. Ils ont capture 499 ETH en bonus de liquidation, soit environ 1,2 million de dollars. Ces bots agissent de maniere opportuniste : des qu’une position est signalée comme liquidable par le protocole, ils l’executent pour empocher la prime associee.
La perte nette pour les utilisateurs affectes est estimee a 345 ETH. Ce chiffre represente la difference entre la valeur reelle de leurs positions et ce qu’ils ont effectivement recupere apres la liquidation. C’est cette somme que la DAO Aave s’est engagee a rembourser.
La reponse d’Aave : remboursement integral
La reaction de l’equipe Aave a ete rapide. Stani Kulechov, CEO et fondateur du protocole, a confirme publiquement qu’aucune dette irrecuperable n’avait ete generee par l’incident. Le protocole lui-meme n’a subi aucune perte : ce sont uniquement les utilisateurs dont les positions ont ete liquidees qui ont ete leses.
Chaos Labs, le prestataire en charge de la gestion des risques pour Aave, a immediatement lance une enquete. L’equipe a reussi a recuperer 141,5 ETH dans les heures suivant l’incident. Pour couvrir l’integralite des pertes (345 ETH), la DAO Aave sera sollicitee afin de mobiliser les fonds complementaires depuis sa tresorerie.
La distinction est importante. Contrairement aux incidents ou un protocole DeFi subit une perte de fonds (exploitation de faille, drain de liquidite), ici le protocole est reste solvable a tout moment. Les fonds n’ont pas disparu : ils ont ete redistribues de maniere erronee, des utilisateurs legitimes vers les bots de liquidation. Le remboursement est donc financierement possible sans mettre en danger la tresorerie du protocole.
Un incident rare mais revelateur
Aave est le plus grand protocole de pret DeFi au monde, avec une TVL (Total Value Locked) depassant les 20 milliards de dollars. Un incident de cette nature sur un protocole de cette envergure est exceptionnellement rare. Depuis son lancement en 2020, Aave n’avait jamais connu de dysfonctionnement d’oracle ayant conduit a des liquidations injustifiees a cette echelle.
L’evenement souleve des questions fondamentales sur la conception des oracles en DeFi. Le mecanisme CAPO, pense pour proteger le protocole contre les manipulations de prix, est paradoxalement devenu le vecteur de l’incident. La regle des 3 % sur trois jours, qui devait empecher les attaques, a empeche la correction d’une erreur legitime.
Ce type de dilemme est inherent aux protocoles decentralises. Les mecanismes de securite rigides protegent contre les attaques malveillantes, mais reduisent la capacite a reagir rapidement en cas de probleme technique. Trouver le bon equilibre entre securite et flexibilite reste l’un des defis majeurs de l’ingenierie DeFi.
Les lecons pour l’ecosysteme DeFi
Plusieurs enseignements se degagent de cet incident. Premierement, les oracles de prix restent un point de vulnerabilite critique pour les protocoles de pret. Meme un systeme aussi eprouve que celui d’Aave peut produire des erreurs lorsque les parametres de configuration deviennent obsoletes face a l’evolution naturelle des actifs.
Deuxiemement, les mecanismes de gouvernance on-chain, avec leurs verrous temporels et leurs limites de variation, peuvent creer des situations ou une correction urgente est techniquement impossible. Les protocoles devront repenser leurs systemes de mise a jour d’urgence pour eviter que les garde-fous ne deviennent eux-memes un risque.
Troisiemement, la transparence et la reactivite de l’equipe Aave meritent d’etre soulignees. La communication rapide, l’enquete immediate de Chaos Labs et l’engagement de remboursement integral montrent qu’un protocole DeFi mature peut gerer une crise de maniere professionnelle. La confiance des utilisateurs, bien qu’ebranlee, peut etre restauree par des actions concretes.
Pour les utilisateurs de protocoles DeFi, l’incident rappelle que meme les positions les plus sures sur les protocoles les plus fiables comportent des risques techniques. La diversification entre protocoles, la surveillance active de ses positions et la comprehension des mecanismes sous-jacents restent des pratiques essentielles. Chaque utilisateur devrait evaluer sa tolerance au risque avant de s’exposer au levier, meme en mode E-Mode.
Glossaire
- Oracle : service qui transmet des donnees externes (prix, taux) aux smart contracts sur la blockchain. Les oracles sont essentiels pour les protocoles DeFi car les blockchains ne peuvent pas acceder directement aux donnees du monde reel.
- DeFi (Finance decentralisee) : ecosysteme de services financiers (pret, echange, epargne) fonctionnant sur des blockchains publiques, sans intermediaire traditionnel comme une banque. Aave est l’un des principaux protocoles DeFi.
- Liquidation : processus automatique par lequel un protocole de pret ferme de force une position dont le collateral est juge insuffisant. La liquidation protege normalement le protocole contre les defauts de paiement.
- Staking liquide / wstETH : mecanisme permettant de mettre en staking de l’ETH (pour securiser le reseau Ethereum) tout en recevant un jeton representatif (stETH ou wstETH) utilisable dans d’autres protocoles DeFi. Le wstETH est la version « wrapped » dont le prix augmente avec les recompenses.
- Smart contract : programme informatique autonome deploye sur une blockchain, qui s’execute automatiquement lorsque des conditions predefinies sont remplies. Les protocoles DeFi comme Aave reposent entierement sur des smart contracts.
- DAO (Organisation autonome decentralisee) : structure de gouvernance dans laquelle les decisions sont prises collectivement par les detenteurs de jetons de gouvernance (ici, le jeton AAVE), sans autorite centrale.
- Collateral : actif depose en garantie pour obtenir un pret sur un protocole DeFi. Si la valeur du collateral baisse en dessous d’un seuil, la position est liquidee pour proteger les preteurs.
Questions frequentes
Que s’est-il passe sur Aave le 10 mars 2026 ?
Un bug de configuration dans l’oracle de prix CAPO d’Aave a provoque la liquidation injustifiee de 27 millions de dollars de positions en wstETH. Le taux de change affiche par l’oracle etait 2,85 % inferieur au taux reel du marche, ce qui a declenche des liquidations automatiques sur 34 utilisateurs dont les positions etaient pourtant saines.
Les utilisateurs affectes seront-ils rembourses ?
Oui. Stani Kulechov, CEO d’Aave, a confirme que tous les utilisateurs touches seraient integralement rembourses. Chaos Labs a deja recupere 141,5 ETH, et la DAO Aave mobilisera jusqu’a 345 ETH depuis sa tresorerie pour couvrir l’ensemble des pertes.
Qu’est-ce que le mecanisme CAPO sur Aave ?
CAPO (Capped Price Oracle) est un mecanisme de securite qui plafonne les variations du taux de change des actifs sur Aave. Il empeche les mises a jour superieures a 3 % dans une fenetre de trois jours pour proteger contre les manipulations de prix. Dans cet incident, ce garde-fou a empeche la correction rapide d’une erreur de configuration.
Le protocole Aave a-t-il perdu des fonds ?
Non. Le protocole lui-meme n’a subi aucune perte et aucune dette irrecuperable n’a ete generee. Les fonds ont ete redistribues de maniere erronee des utilisateurs legitimes vers les bots de liquidation. La tresorerie de la DAO Aave dispose des ressources necessaires pour rembourser les victimes.
Quels risques cet incident revele-t-il pour la DeFi ?
L’incident montre que les oracles de prix restent un point de vulnerabilite critique, meme sur les protocoles les plus matures. Les mecanismes de securite rigides (comme la regle des 3 % de CAPO) peuvent paradoxalement empecher la correction rapide d’erreurs legitimes. Les utilisateurs doivent comprendre que meme les positions a faible risque sur des protocoles etablis comportent des risques techniques.
Sources
Cet article s’appuie sur les sources suivantes :
- CoinDesk – DeFi Lending Platform Aave Sees a Rare $27 Million Liquidations After a Price Glitch (10 mars 2026)
- CryptoNews – Aave Oracle Glitch Triggers wstETH Liquidations via CAPO Misconfiguration (11 mars 2026)
- The Block – Aave Oracle Glitch Causes $27M in wstETH Liquidations (10 mars 2026)
- Invezz – Aave Price Outlook After Oracle Glitch Triggers $27M Liquidations (11 mars 2026)
Comment citer cet article : Fibo Crypto. (2026). Aave : un bug d’oracle provoque 27 millions de dollars de liquidations injustes. Consulte le 12 mars 2026 sur fibo-crypto.fr
